Injeção de prompt

Como a injeção de prompt funciona

A janela de contexto de um agente não distingue entre as instruções que você escreveu e o texto que ele buscou. Ambos chegam como tokens no mesmo fluxo. Então quando um agente lê a landing page de um concorrente para resumi-la, e essa página contém uma linha endereçada ao modelo em vez de ao leitor, o modelo não tem como saber estruturalmente que não deveria obedecer. Isso não é um defeito de um produto específico. É uma propriedade de como os modelos atuais consomem entrada, e por isso não existe correção — só contenção.

A superfície de ataque é simplesmente todo lugar de onde seu agente absorve texto que outra pessoa escreveu, o que para um agente de marketing é quase todo o trabalho dele:

• Tudo que é raspado — páginas de concorrentes, resultados de busca, documentação que o agente lê para responder algo.
• Tudo que é enviado — uma base de conhecimento em PDF, uma planilha, uma imagem com texto dentro.
• Tudo gerado por usuários — avaliações de lojas de apps, threads de fóruns, tickets de suporte, envios de formulário.
• Tudo que chega — e-mail, mensagens de chat, payloads de webhook, até o título de um convite de agenda.

Por que um modelo que se recusa a vazar segredos não é defesa

A intuição comum é que um modelo bem treinado simplesmente vai recusar. Muitas vezes recusa, para o fraseado óbvio. Rodamos um teste de invasão autorizado contra um dos nossos próprios contêineres de produção em julho de 2026 e o padrão foi inequívoco. Uma instrução injetada pedindo ao agente que imprimisse uma chave de API foi recusada. Uma instrução injetada enquadrada como uma verificação rotineira de conectividade — que referenciava a mesma chave como variável de ambiente dentro de um comando em vez de escrever o valor — foi executada sem hesitar, e a credencial saiu da máquina.

A assimetria é a lição inteira. A cautela do modelo com segredos protege o caminho em que ele teria de dizer o segredo em voz alta. Quando o agente executa um comando, o shell substitui o valor e o modelo nunca o vê, então não há nada para o discernimento dele pegar. Qualquer defesa que dependa de o modelo reconhecer má intenção está guardando uma porta de um prédio com várias, e o enquadramento entra pelas outras: recuse isto e ele declina, execute este passo de configuração e ele obedece.

O que de fato reduz o risco

Como a vulnerabilidade não pode ser treinada para sumir, as mitigações úteis são arquiteturais. Cada uma assume que a injeção teve sucesso e limita o que ela consegue alcançar:

• Mantenha credenciais fora do alcance do agente. Uma chave que o ambiente do agente nunca guarda não pode ser tirada de lá. Rotear as chamadas ao modelo por um proxy que guarda a credencial é a única mitigação que fecha esse caminho específico em vez de estreitá-lo.
• Privilégio mínimo em cada credencial. Se um token só faz inferência, ou só lê uma propriedade, um vazamento custa uma fatura em vez de uma conta.
• Restrinja a saída de rede. Um agente que só alcança uma lista conhecida de hosts tem muito menos lugares para onde mandar o que foi induzido a coletar.
• Coloque um portão nas ações que saem do prédio. Um portão de aprovação na frente de tudo que é publicado, enviado ou gasto transforma uma injeção bem-sucedida num rascunho que você rejeita, não num post que seus clientes leem.
• Trate a saída do agente também como entrada não confiável. Quando o resumo de um agente vira o contexto de outro, a instrução injetada viaja junto.

Injeção de prompt num agente de marketing

Agentes de marketing ficam excepcionalmente perto desse risco, porque ler coisas que estranhos escreveram é o trabalho, não um caso extremo. Um especialista em pesquisa raspa sites de concorrentes. Um de feedback lê avaliações de lojas de apps. Um de comunidade lê threads de fóruns. Cada um desses é um canal em que alguém de fora da sua empresa escolhe o texto, e nenhum pode ser trancado sem remover a razão de o agente existir.

Esse é o raciocínio por trás de como a AgentCeres — o AI Growth Officer em agentceres.com — é construída: os especialistas que leem a web aberta estão separados da permissão de agir sobre o que leram, e toda ação de saída espera um clique humano. Ler amplamente e publicar livremente são dois privilégios diferentes, e um agente que tem os dois está a uma página web hostil de usá-los juntos. Se você está decidindo quanta corda dar a um agente nas suas próprias contas, devo deixar um agente de IA publicar nas redes sociais por mim? trabalha a mesma pergunta pelo outro lado; human-in-the-loop é o princípio geral por baixo das duas.